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Einrichtung zur Oberwachung eines Rechnersystems mit zwei Prozessoren in einem Kraftfahrzeug 
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ES wird eine Einrichtung zur Oberwachung eines Rechner- 
systems mit zwei Prozessoren in einem Kraftfahrzeug verge- 

schlagen. Diese sieht vor, daS sich die beiden Prozessoren 

gleichberechtigt uberwache n und diese Uberwachung in 

der Art eines Hand-Shake-Betriebs im Zuge des zyklischen 

Datenaustauschs zwischen beiden Prozessoren erfolgt 

Dabei ist besonders vorteilhaft, daS die beiden Prozessoren 

auch vollig unabhangig voneinander arbeften kSnnen, kei- 

nen direkt gekoppelten oder gemelnsamen l/O-Bus benut- 
zen mussen und uberdies mit verschiedenen Clock-Frequen - 
zen gegenseltig asynchron betreibbar slnd . Die erfindungs- 
gemSfce Einrichtung feistet eine gleichberechtigt gegensei- J-|gnn-lHPffT U^-dT" 

tige Uberwachung zweier Prozessoren so, daB bei Auftreten 15 & 

eines Fehlers dieser lokalisiert werden kann. So erlaubt die 

erfindungsgema&e Einrichtung eine Unterscheidung, ob ein 
Prozessor ausgef alien ist oder ob in der peripheren Hardwa- 
re der Prozessoren ein Fehier vorliegt Zu diesem Zweck wird 
besagter zyklisch er Datenaustausch zwischen beiden Pro- 
zessoren als Qujttungspfad fur die OberwacmTngstunkfidn 
ausgenutzt. 



PtWBHH 



] JUL 



fR07ESSM2 



WATCH- 0116 ] « 



RESIT- IMflJT V-'p 



56HWARC RESn 
-OPTfJT 



TP 



BUNDESDRUCKEREI 06.88 808 830/130 7/60 

BEST AVAILABLE COPY 




OS 37 

l 

Patentansprflche 

1. Einrichtung- zur Cberwachung eines Rechnersy- 
stems mit zwei Prozessoren in einem Kraftfahr- 
zeug, wobei beide Prozessoren durch besondere 5 
Tore flber Daten- und Steuerleitungen (17) fest mit- 
einander verdrahtet sind, dadurch gekennzeich- 
net, 
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5. Einrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, daB einer der beiden Prozessoren als Ma- 
ster mit Vorrang und der anderen Prozessor als 
Slave mit Nachrang betreibbar ist, solange kein 
Defekt vorliegt und daB bei Erkennung eines De- 
fekts jeder der beiden Prozessoren im wesentlichen 
dieselbe Notfunktion mit gleicher Leistung abar- 
beitet 



— daB beide Prozessoren (10, 20) bis auf einen 10 Beschreibung 
zyklischen Daten- und Befehlsaustausch fiber 

besagte Daten- und Steuerleitungen unabhan- 

gig voneinander betreibbar sind. Stand der Technik 

— daB je Prozessor ein erster Ausgang (12, 24) 

zur Abgabe ejnes dynamischen Watch- Dog- 15 Die Erfindung geht aus von einem Rechnersystem mit 
Signale vorgesehen und fest belegt ist, zwei Prozessoren fflr die Gemischzumessung in eine 

— daB je Prozessor ein besonderer Eingang Brennkraftmaschine nach der Gattung des Hauptan- 
(14, 22) zur Erkennung eines stat ischen Watch- spruchs. Es sind Mehrrechnersysteme mit einer Funk- 
Dog-Signals vorgesehen und fest belegt ist, ~ tionsaufteilung bekannt, bei denen ein Hauptrechner im 

— daB je Prozessor ein zweiter Ausgang (13, 20 Normalbetrieb, der den stSrungsfreien Zustand dar- 
25) zur Ab gabe eines Software- Reset-Signales stellt, die gesamte Rechnerleistung fur die erforderii- 
vorgesehen und fest belegt ist, "~ chen Steuer- und Regelf unktionen bereitstellL Ein zwei- 

— daB ei n Reset-Eingang ( 15, 23) eines jeden ter Rechner, der ausschlieBlich. als Notrechner client, 
Prozessors i eweils mit dem Ausgang einer zu- kann bei Ausfall des Hauptrechners Nbtfunktionen 
geordneten l ogjgchgn ODER-Schaltung (3 1, 25 fibemehmen und damit einen wenigstens emgeschrank- 
32) verbunden ist, wobei beide ODER-Schal- ten Betrieb aufrechterhalten. Solange kein Starungsfall 
tungen einen ersten und einen zweiten Ein- vorliegt, bleibt der Notrechner im allgemeinen unge- 
gang aufweisen und die ersten Eingange der- nutzt In solchen Systemen wird jedenfalls der Haupt- 
selben zur gemeinsamen Beaufschlagung mit rechner fiberwacht; erkennt eine geeignete Oberwa- 
einem Startimpuls, vorzugsweise mit einem 30 chungseinrichtung eine Stoning oder einen Defekt, 
Power-On-Impub beaufschlagbar sind, fibernimmt der Notrechner teilweise oder in vollem 

— daB besagter erster Ausgang (12, 24) eines Umfang die Aufgaben des Hauptrechners. 

jeden Prozessors auf den Eingang einer Pump- In der noch unverdffentlichten deutschen Patentan- 
schaltung (27, 28) gefuhrt ist, deren Ausgang meldung P 35 39 407.2 ist ein Rechnersystem mit zwei 
jeweils an besagten besonderen Eingang (14, 35 Prozessoren zur Regelung von KenngroBen einer 
22) des jeweils anderen Prozessors geffihrt ist Brennkraftmaschine beschrieben. Den zwei Prozesso- 
und der in Abhangigkeit von einem anliegen- ren sind gedoppelte Geber zugeordnet, von denen je- 
den dynamischen Watch-Dog-Signal ein stati- weils einer dem Hauptrechner und ein anderer dem 
sches Watch-Dog-Signal entnehmbar ist, Notrechner MeBwerte liefert. Es sind zwar beide Rech- 

— daB besagter zweiter Ausgang (13, 25) eines 40 ner so ausgeffihrt, daB sie dieselbe Verarbeitsleistung 
jeden Prozessors jeweils auf einen ersten Ein- erbringen konnen. Allerdings besteht die dort realisierte 
gang einer diesem Prozessor zugeordneten io- Notfunktion hauptsachlich in der alternativen Zuwei- 
gischen UND-Schaltung (29, 30) gefuhrt ist, sung von Gebersignalen an die beiden Prozessoren bzw* 

— daB ein zweiter Eingang besagter logischer der alternativen Zuweisung von Ausgangssignalen der 
UND-Schaltung (29, 30) jeweils an den Aus- 45 beiden Prozessoren an Endstufen im FehlerfalL Stellen 
gang der Pumpschaltung (27, 28) zum Emp- Oberwachungsschaltungen in den zugeordneten Pro- 
fang des station&ren Watch-Dog-Signals des zessoren Stdrungen fest, wid fiber ein UND-Gatter eine 
der jeweiligen UND-Schaltung zugeordneten die Kraftstoffzumessung beeinflussende Endstufe abge- 
Prozessors gefuhrt ist und schaltet Eine weitergehende technische Lehre, wie die 

— daB der Ausgang jeder der beiden besagten 50 Oberwachung der beiden leistungsgleichen Prozesso- 
logischen UND-Schaltung (29, 30) jeweils auf ren mit Haupt- und Notfunktion geschieht, wird dort 
den zweiten Eingang der dem anderen Prozes- jedoch nicht gegeben. Insbesondere gibt jene Schrift 
sor zugeordneten ODER-Schaltung gefQhrt keinen Hinweis darauf, wie die gegenseitige Oberwa- 
ist chung mehrerer Prozessoren auch dann zu leisten w&re, 

55 wenn beide far verschiedene Aufgaben, unter Umstan- 

2. Einrichtung nach Anspruch 1, dadurch gekenn- den gar in synchroner Betriebsweise, benutzt werden. 
zeichnet, daB wenigstens einer der beiden Prozes- Der Erfindung liegt deshalb die Aufgabe zugrunde, in [ 
soren mit einem weiteren, von besagten Daten- und einem mit zwei Prozessoren arbeitenden Kraftsstoffzu- \ 
Steuerleitungen unabhflngigen Datenbus verbun- messungssystem eine mSglichst einf ache, aber dennoch ?1 
den ist 60 mfichtige Sicherheitsf unktion vorzusehen, und zwar ins- } ; 

3. Einrichtung nach Anspruch 1, dadurch gekenn- besondere dann, wenn beide Prozessoren im st&rungs-;. 
zeichnet, daB die beiden Prozessoren mit voneinan- freien Fall gleichermaBen und gleichberechtigt zur Ver- '! 
der verschiedeneraockfrequenz betreibbar sind. arbeitungsleistung des Gesamtsystems beitragea Die? 

4. Einrichtung nach Anspruch I, dadurch gekenn- Erfindung zielt also ab auf ein System, in dem ein Daten- 
zeichnet, daB die fiber besagte Steuerleitung (17) 65 austausch zwischen beiden Prozessoren erfolgen muB 
ausgelfisten Prfifworte ffir die Datenubertragung und erfolgt, solange keine St6rung vorliegt- Urn die Ver- 
auf besagten Datenleitungen richtungsabhSngig ffigbarkeit des Gesamtsystems bei Ausfall eines Prozes- 
verschieden sin± sors oder auch nur bei Fehlern in der Daten fibertragung 
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zu gew&hrleisten, ist es notwendig, daB der entsprechen- 
de Fehler erkannt wird. Bei Erkennen eines Fehlers 
mflssen die Prozessoren je nach Fehlerart geeignet rea- 
gieren, um die Verfugbarkeit des Systems zu gewahrlei- 
stea 

Vorteile der Erfindung 

Die vorgenannte Aufgabe wird erfindungsgemaB 
durch eine Einrichtung nach der Gattung des Hauptan- 
\ spruchs gelost Diese sieht vor, daB sich di e beidenPro - 
| zessoren gleichberechtigt fiberwachen und diese Ober- 
wachung in der Art ernes Hand- Shake- Betriebs im Zuge 
des zyklischen Datenaustauschs zwischen beiden Pro- 
\ zessoren erfolgt Dabei ist es mdglicht, daB die Prozes - 
l soren sich jeweiis gegenseitig neu starten konnen, zJB. 
Wch Wegfall einer Stfirungseinwirkung auf den I/O- Bus 
eines der beiden Prozessoren, oder bei dauerhaftem To- 
talausfaJJ eines der beiden Prozessoren. 

Durch die in den Unteransprfichen aufgefuhrten 
MaBnahmen sind vorteilhafte Weiterbildungen der im 
Hauptanspruch angegebenen Einrichtung mSglich. Da- 
bei ist besonders vorteilhaf t, daB die beiden Prozessoren 
auch vdllig unabh&ngig voneinander arbeiten kdnnen, 
keinen direkt gekoppelten oder gemeinsamen I/O-Bus 

Ibenutzen raOssen und Gberdies mit yerschiedenen 
Clock-Frequenzen gegenseitig asynchron betreibbar 
sind. SchlieBlich leistet die Erfindung eine gleichberech- 
tigt gegenseitige Oberwachung zweier Prozessoren so, 
daB bei Auftreten eines Fehlers dieser lokalisiert wer- 
den kann . So erlaubt die erfmdungsgemaBe Einrichtung 
eine Unterscheidung, ob ein Prozessor ausgefallen ist 
oder ob in der peripheren Hardware der Prozessoren 
ein Fehler vorliegt Zu diesem Zweck wird besagter 
zyklischer Datenaustausch zwischen beiden Prozesso- 
ren als Quittungspfad fur die Oberwachungsfunktion 
ausgenutzt. 

Zeichnung 

Ein Ausffihrungsbeispiel der Erfindung ist in der 
Zeichnung dargestellt und in der nachfolgenden Be- 
schreibung naher erlautert Die einzige Figur zeigt in 
Blocksymbolen eine erfindungsgemaBe Einrichtung zur 
Oberwachung eines Rechnersystems mit zwei Prozes- 
soren in einem Kraftfahrzeug. 

Beschreibung des Ausffihrungsbeispiels 

Die Zeichnung zeigt einen ersten Prozessor 10 mit 
einem Tor 11 zur Speisung eines Daten- und Kontroll- 
busses 17 und mit einem — hier nur symbolisch ange- 
deutet — Eingangs/Ausgangs(I/0)-Bus 16. Entspre- 
chend ist ein zweiter Prozessor 2b mit einem Tor 21 zur 
Speisung desselben Daten- und Kontrolibusses 17 und 
mit einem I/O-Bus 26 vorgesehen. Der Prozessor 10 
verfugt Ober zwei Ausgange 12 und 13, die fiber entspre- 
chende Leitungen 33 und 34 eine erste Pumpschaltung 
27 bzw. den ersten Eingang eines ersten UND-Gatters 
29 ansteuern. Dabei gibt der Ausgang 12 ein sogenann- 
tes Watch-Dog-Signal und der Ausgang 13 ein soge- 
nanntes Software-Reset-Signal ab. Weiter weist der 
Prozessor 10 zwei Eingange 14 und 15 auf, die fiber 
entsprechende Leitungen 35 bzw. 36 vom Ausgang ei- 
ner zweiten Pumpschaltung 28 bzw. eines ersten 
ODER-Gatters 32 angesteuert werden. Der Eingang 14 
dient dabei zum Empfang eines Watch- Dog-Signals und 
der Eingang 15 dient zum Empfang eines Reset-Signals. 



10 



20 



25 



Der Prozessor 20 verfugt ebenfalls fiber zwei Eingange 
22 und 23, die fiber entsprechende Leitungen 39 bzw. 40 
vom Ausgang der ersten Pumpschaltung 27 bzw. vom 
Ausgang einer zweiten ODER-Schaltung 31 angesteu- 
ert werden. Dabei dienen die Eingange 22 und 23 analog 
zu den Eingangen 14 und 15 des Prozessors 10 zum 
Empfang eines Watch-Dog-Signals bzw. eines Reset-Si- 
gnals. Entsprechend zum Prozessor 10 weist der Prozes- 
sor 20 noch zwei Ausgange 24 und 25 auf, die fiber 
Leitungen 37 bzw. 38 eine zweite Pumpschaltung 28 
bzw. den ersten Eingang eines zweiten UND-Gatters 30 
ansteuern. Der Ausgang der ersten Pumpschaltung 27 
ist noch an den zweiten Eingang des ersten UND-Gat- 
ters 29 geffihrt, dessen Ausgang fiber eine Verbindungs- 
15 leitung 41 den ersten Eingang besagten ODER-Gatters 
31 ansteuert Entsprechend ist der Ausgang der zweiten 
Pumpschaltung noch auf den ersten Eingang eines zwei- 
ten UND-Gatters 30 geffihrt, dessen Ausgang fiber eine 
Verbindungsleitung 42 den ersten Eingang besagten 
ODER-Gatters 32 ansteuert Den jeweiis zweiten Ein- 
gange der ODER-Gatter 31 und 32 kann fiber eine ge- 
meinsame Ansteuerleitung 18 beim Einschalten des Sy- 
stems ein Initialisierungssignal (Power-On- Impuls) zu- 
gef flhrt werden. 

Die beiden zu Oberwachenden Prozessoren 10 und 20 
konnen z.B. in einem E-Gas- System als Master- und\u 
Slave- Prozessor ausgeffihrt sein. Dabei arbeiten die bei- 
den Prozessoren asynchro n und bis auf eine zyklische 
Datenfibertragung vdllig unabhangig voneinander. Die 
30 gegenseitige Oberwachung erfolgt jeweiis durch die 
Auswertung der Signalzustande auf drei parallelen Pfa- 
den: der Prozessor 10 wird vom Prozessor 20 auf Feh- 
lerhaf tigkeit fiberwacht anhand Jogischer_ Auswertung 
des Signalprotokolls. wie es sich aus der Zu sammenfas- 
35 su ng dreier Signalpfade ergib t namlich dem SignalfluB 
auf dem Bus 17, dem Watch-Dog-Signal auf der Leitung 
33 und dem Software-Reset-Signal auf der Leitung 34, 
der Prozessor 20 wird vom Prozessor 10 auf Fehlerhaf^ 
tigkeit fiberwacht anhand logischer Auswertung des Si- 
40 gnalprotokolls, wie es sich aus der Zusammenf assung 
dreier Signalpfade ergibt, namlich dem SignalfluB auf 
dem Bus 17, dem Watch-Dog-Signal auf der Leitung 37 
und dem Software-Reset-Signal auf der Leitung 38. 
Die Prozessoren 10 und 20 tauschen in einem festen 
45 Zeitraster Daten zykiisch aus. Es wird davon ausgegan- 
gen, daB zunachst der Prozessor 10 (als Master) eine 
Datenanforderung fiber den Bus 17 an den Prozessor 20 
(als Slave) abgibt; letzterer erwartet aufgrund der fest 
vereinbarten Zykluszeit eine Datenanforderung. Bleibt 
50 daraufhin eine Datenfibertragung von Prozessor 20 an 
Prozessor 10 aus, so erkennt dies jeweiis der entspre- 
chende Prozessor, und zwar Prozessor 10, wenn auf 
seine Datenanforderung nicht mit einer Dateniibertra- 
gung reagiert wurde, und Prozessor 20, wenn nach Ab- 
55 lauf eines Zyklus keine Datenanforderung vom Prozes- 
sor 10 einging. Damit steOt der Bus 17 zusammen mit 
dem darauf stattflndenden SignalfluB und dessen Ver- 
gleich mit dem zugrundeliegenden SignalfluBprotokoll 
einen bidirektionalen, ersten Kausalpfad zur Oberwa- 
60 chung beider Prozessoren gegeneinander dar. 

Der Prozessor 10 bzw. 20 gibt fiber die Leitung 33 
bzw. 37 ei n dynamisches Watch-Dog-Signal — in der 
Regel einen Puis — an die Pumpschaltung 27 bzw. 28 in 
Richtung des jeweiis anderen Prozessors ab. Bei den 
65 Pumpschaltungen 27 und 28 handelt es sich um Einrich- 
tungen, die aus dem Vorhandensein eines Eingangspul- 
ses wahrend einer bestimmten Mindestzeitdauer ein 
statisches Ausgangssignal erzeugen; unter Zugrundele- 
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gung einer. positiven Logik wird also von einer solchen 
Pumpschaltung eine logische 1 am Ansgang ausgege- 
ben, sofern der Watch-Dog-Puls am Eingang anliegt 
Dieses statische Ausgangssignal wird jeweils vom ande- 
ren Prozessor eingelesen (W atch-Dog-Erkennung). Bei 5 
Ausfall des Watch-Dog-Signals auf der Leitung 33 bzw. 
37 wird somit eine logische Brennzahl 0 in den Eingang 
22 bzw. 14 des Prozessors 20 bzw. 10 eingelesen. Der 
Ausfall des Watch-Dog-Signals ist ein Anzeichen dafur, 
daB ein Fehler im entsprechenden Prozessor vorliegt, 10 
der auf diese Weise vom jeweils anderen Prozessor er- 
kannt wird Somit stellt die Auswertung des Watch- 
Dog-Status der beiden Prozessoren den zweiten Kau- 
salpfad zur Oberwachung beider Prozessoren gegen- 
einanderdar. 15 

Jeder Prozessor hat die Moglichkeit, den jeweils an- 
deren Prozessor bei seinem Ausfall wieder zu starten 
(Software-Reset-Output). Die Voraussetzung fur die 
Abgabe eines Reset-Impulses auf der Leitung 34 bzw. 38 
zum Prozessor 20 bzw. 10 ist, daB der Prozessor 10 bzw. 20 
20 an seinem Eingang 14 bzw. 22 eine logische 1 infolge 
Vorhandenseins des Watch-Dog-Signals am Ausgang 
24 bzw. 12 des Prozessors 20 bzw. 10 erkennt Damit der 
Prozessor 10 bzw. 20 bei einem Defekt nicht unkontrol- 
liert Reset-Impulse an den Prozessor 20 bzw. 10 abge- 25 
ben kann, fungiert das UND-Gatter 29 bzw. 30 als Tor- 
schaltung, indem der betreffende Reset-Impuls nur bei 
Vorhandensein eines Watch-Dog-Signals des aussen- 
denden Prozessors in Richtung des jeweils anderen Pro- 
zessors durchgelassen wird. Die ODER-Gatter 31 und 30 
32 erlauben die gleichzeitige Rttcksetzung beider Pro- 
zessoren beim Aktivieren des Gesamtsystems, also z. B. 
beim Einschalten der entsprechend ausgerQsteten 
E-Gas-Anlage, Der Austausch von Software-Reset-Si- 
gnalen zwischen beiden Prozessoren stellt somit den 35 
dritten Kausalpfad zur t)berwachung beider Prozesso- 
ren gegeneinander dar. 

Zur Verkntlpfung der drei Kausalpfade zur Erken- 
nung und Lokausierung von Fehlern werden die folgen- 
den Pruf ungen miteinander konjugiert und wie erlautert 40 
ausgewertet: 

Erkennt beispielsweise Prozessor 10, daB auf die Da- 
tenanforderung an Prozessor 20 keine Datenubertra- 
gung erfolgt, oder erkennt Prozessor 20, daB nach Ab- 
lauf eines Obertragungszyklus keine Datenanforderung 45 
von Prozessor 10 eingeht, und erkennen beide Prozes- 
soren gleichermaBen, daB der jeweilig andere Prozessor 
dennoch ein Watch-Dog-Signal ausgibt und somit aktiv 
ist, wird auf Defekt der Steuerleitung des Datenbusses 
1 7 erkannt Bei einem Defekt der Datenleitungen hinge- 50 
gen ist eine Datenflbertragung noch moglich. Der Feh-" 
ler auf den Datenleitungen wird dadurch erkannt, daB 
der Prozessor 10 ein Pruf wort an den Prozessor 20 ab- 
gibt und dieser dann mit einem falschen PrOfwort an 
Prozessor 10 antwortet Der Prozessor 10 erkennt dabei 55 
die Einhaltung des Obertragungsprotokolls fOr den Da- 
tenaustausch durch Prozessor 20 und dessen vorhande- 
nes Watch-Dog-Signal, kann aber durch Auswerten des 
falschen Prufwortes auf einen Fehler auf den Datenlei- 
tungen des Datenbusses schlieBen und die Datenuber- 60 
tragung abbrechen. Der Prozessor 20 erkennt das Ein- 
halten des Obertragungsprotokolls durch Prozessor 10 
und dessen vorhandenes Watch- Dog-Signal, und 
schlieBt gleichermaBen auf Fehler im Datenbus. 

Fallt beispielsweise der Prozessor 10 aus, so erkennt 65 
der Prozessor 20 nach Ablauf des Obertragungszyklus 
das Fehlen einer Datenanforderung von Prozessor 10 
sowie den Ausfall dessen Watch-Dog-Signals. Das kon- 



jugierte Erkennen beider Zustfinde fahrt bei Prozessor 
20 zur Auswertung eines Defekts an Prozessor 10. Pro- 
zessor 20 gibt daraufhin einen Software-Reset-Impuls 
an Prozessor 10 ab. Sobald Prozessor 10 wieder aktiv 
ist, gibt er ein Watch-Dog-Signal aus und fordert wieder 
Daten vom Prozessor 20 an. Wird Prozessor 10 nicht 
aktiv, gibt er kein Watch-Dog-Signal und keine Daten- 
Anforderung an Prozessor 20 ab, so daB dieser per Pro- 
gramm entsprecfhend reagiert Entsprechendes gilt um- 
gekehrt fur den Prozessor 20. 

Fallt beispielsweise das Watch- Dog-Signal von Pro- 
zessor 20 aus, so erkennt diese Prozessor 10. Reagiert 
Prozessor 20 richtig auf die Datenanforderung von Pro- 
zessor 10, so erkennt dieser, daB Prozessor 20 noch aktiv 
ist und lokalisiert den Fehler im Ausgang 24 des Prozes- 
sors 20 fur das Watch-Dog-SignaL Uber den Datenbus 
17 fibertragt Prozessor 10 diese Information an den Pro- 
zessor 20. Tritt umgekehrt ein Fehler beim Watch-Dog- 
Signal des Prozessor 10 auf, so erkennt dies Prozessor 
20 und Obertragt die entsprechende Information an Pro- 
zessor 10. 

Die erfindungsgemaBe Einrichtung sieht somit vor, 
daB sich beide Prozessoren einwandfrei Qberwachen 
kdnnen, obwohl sie v5llig unabhangig voneinander ar- 
beiten. Je nach Fehlerart kdnnen die Prozessoren ent- 
sprechend programmierter Fail-Safe-Routinen variabel 
reagieren. Weiter ist es mfiglich, aufgrund einer erfolg- 
ten Lokalisierung eines Fehlers diesen zu beheben, bei- 
spielsweise nach Ausfall eines Prozessors diesen durch 
den noch voll funktionsfahigen wieder neu zu starten. 
Insgesamt erhohen die verschiedenartig, softwarege- 
sttltzten ReaktionsmSglichkeiten bei Auftreten eines 
Fehlers die Verfugbarkeit des Gesamtsystems betr&cht- 
lich. Es versteht sich von selbst, daB eine entsprechende 
Fehlerauswertung auch zur Weitergabe von Fehlermel- 
dungen, beispielsweise an den Fahrer eines Kraftfahr- 
zeugs, ausgenutzt werden kann. SchlieBlich ist die erfin- 
dungsgemaBe Einrichtung auch auf Zwei-Prozessor-Sy- 
steme implementierbar, in denen anders als in der 
Zeichnung dargestellt der Austausch von Daten zwi- 
schen den beiden Prozessoren nicht Qber einen speziel- 
len, fest verdrahteten Bus 17 zwischen besonderen Ports 
11 und 21 erfolgt, sondem tiber einen Systembus oder 
einen Teil eines solchen Systembusses, uber den gene- 
rell erfaBte MeBgroBen eingelesen bzw. Verarbeitungs- 
ergebnisse ausgelesen werden. 
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Two-processor c^Tputer monitor system for vehicle usl 
handshake mode for cyclic data exchange whilst keeping 
processors independent 
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Both processors are fixed-wired to one another at 
particular ports via data and control buses (17). The 
processors (10,20) are operated independently of one another 
via the data and control buses. Each processor has a first 
output (12,24) for a dynamic watch-dog signal and a particular 
input to detect a static watch-dog signal and a second output 

(13,25) for a software reset signal. The outputs and inputs are 
connected in given ways to AND and OR gates . ; 
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